AI事業者ガイドラインを実務に落とす4工程｜自社の規程と対応づける

「一通り読みました。ただ、うちが何をすればいいのかは分かりませんでした」「参考にしてくださいと言われても、参考にする先がうちのどの書類なのか分からないんです」——事業者向けのAIの指針に目を通した担当者から、ほぼこの形で返ってきます。読み方が悪いわけではありません。この文書は特定の会社の宿題を書いたものではなく、開発する側、組み込んで提供する側、使う側のすべてに向けて共通の考え方を示したものだからです。だからそのままでは、自社の書類の名前が1つも出てきません。必要なのは要約ではなく、自社の何に当てるかの割り付けです。この記事では、自社がどの立場にあたるかを判定するところから、社内の運用に落とし込むまでを4つの工程に分けて整理します。

読み終えても宿題が出てこないのは、文書の性格のせいです

まず前提を共有します。事業者向けのAIの指針は、総務省と経済産業省が策定しているもので、最新の版は2026年3月31日に公表された第1.2版です。本編は表紙と目次を含めて42ページあり、これに別添が付きます。読み終えるだけで半日仕事で、読み終わったあとに残るのは「一般論として正しいことが書いてあった」という感想になりがちです。

宿題が出てこない理由は、この文書が拘束力のない柔らかい決まりとして作られていることにあります。本編の冒頭に、関係者の自主的な取り組みを促し、目標を示して達成に導く考え方で作ったと明記されています。細かい行為の義務を並べる型ではないので、読んだ側が自社の状況に当てはめる作業が前提になっています。

そして当てはめ方の指示も、実は文書の中に書かれています。対策の程度は、危害の大きさとその起こりやすさに応じて決める、という考え方です。同じ項目でも、自社の使い方によって対策の深さが変わる前提になっているので、読むだけでは自社の答えが出ないのは当然だと言えます。

まず全体の形だけ押さえる｜本編と別添、そして5つの部

中身に入る前に、地図を持っておきます。文書は本編と別添の2階建てです。本編が「どのような社会を目指すのか」と「どのような取り組みを行うか」を示し、別添が「具体的にどのようなアプローチで取り組むか」を示す、という役割分担が概要資料に明記されています。考え方は本編、手を動かす材料は別添という分け方です。

本編は5つの部で構成されています。第1部がAIそのものの説明、第2部が目指す社会と各主体が取り組む事項、第3部が開発する側、第4部が組み込んで提供する側、第5部が使う側です。第2部の中はさらに基本理念、原則、共通の指針、国際的な枠組みの指針、そして管理の仕組みの構築に分かれています。

別添は9つに分かれていて、そのうち実務で最初に開くのは7番目です。共通の指針を要約した確認一覧と、具体的な進め方を検討するための書き込み用の表が入っています。ほかに、契約の指針を参照するときの留意事項をまとめたもの、立場をまたいだ想定事例、国外の指針との対応先も置かれています。最初に本編を通読するのではなく、7番目の確認一覧から入るほうが早く着手できます。

4つの工程に分ければ、翌日から動けます

ここから本題です。指針を自社の運用に落とすまでを、4つの工程に分けます。順番を入れ替えると必ず手戻りが出るので、この順で進めてください。特に1つ目を飛ばして2つ目から始めると、自社に関係のない項目まで抱え込むことになります。

所要の目安を先に出しておきます。1つ目は会議1回で終わります。2つ目が最も時間がかかり、部門ごとに半日から1日です。3つ目は既存文書の担当者と2時間ほど、4つ目は15分で決まります。全部で一巡すれば、初回でも1週間はかかりません。

工程1：自社がどの立場にあたるかを判定する

指針は、AIの事業活動を担う主体を3つに大別しています。開発する側は、AIの仕組みそのものを開発する事業者で、研究開発を行う事業者も含まれます。提供する側は、AIの仕組みをアプリケーションや製品、既にある仕組みや業務の流れに組み込んで、サービスとして使う側に提供する事業者です。使う側は、事業活動においてAIの仕組みやサービスを利用する事業者です。

ここで多くの会社が引っかかります。自社は開発していないから使う側だ、と即断してしまうのですが、自社のサービスに外部のAIを組み込んで顧客に出しているなら、その事業は提供する側にあたります。作っているかどうかではなく、誰に向けて出しているかで分かれます。自社の顧客が触るなら提供する側、社内だけで使うなら使う側、という見分け方が実務では通ります。

そして原典には、判定を会社単位でやろうとする人にとって決定的な一文があります。これらの主体は事業者または各社内の部門を想定していて、AIの活用方法によっては同一の事業者が3つの立場の複数を兼ねる場合もある、と書かれています。つまり1つに決める必要はありません。なお、データを提供するだけの立場と、業務外で使う一般の利用者は、この文書の対象には含まれていません。

1社が複数の立場を兼ねる｜判定は事業の単位で行う

判定の実務は、部門ごとに1行書くだけで終わります。よくある場面と、そこから導かれる立場を並べます。自社の一覧を作るときは、右端の「先に読む部」の列を埋めるところまでやってください。ここが埋まると、読む範囲が一気に狭まります。

社内でよくある場面	あたる立場	先に読む部
社内の文書作成に外部のAIを使っている	使う側	第5部と、共通の指針
自社サービスの機能に外部のAIを組み込んで顧客に出している	提供する側	第4部と、共通の指針
自社でモデルを学習させて仕組みを作っている	開発する側	第3部と、共通の指針
外部のAIを組み込んだ社内向けの仕組みを情報システムが作った	提供する側と使う側の両方	第4部と第5部
顧客の業務にAIを組み込んで納品している	提供する側	第4部と、契約の留意事項
顧客データを預かって分析の受託をしている	使う側（委託先としての責任は別に確認）	第5部と、個人情報の社内規程
自社の素材だけを学習させた社内用の仕組みを外部委託で作った	提供する側と使う側（委託先は開発する側）	第4部と第5部と契約

表を埋めると、たいていの会社で立場が2つ以上になります。それは間違いではなく、原典が想定している状態です。立場が2つあるなら、読む部も2つになるだけで、作業が2倍になるわけではありません。共通の指針の部分は立場に関わらず同じで、立場ごとの部は数ページずつです。

工程2：共通の指針を、自社の成果物の名前に言い換える

共通の指針は10項目あります。順に、人間中心、安全性、公平性、プライバシーの保護、セキュリティの確保、透明性、説明の責任、教育と理解、公正な競争の確保、そして新しい取り組みの促進です。原典では、このうち1から7が各主体が取り組む事項として整理され、8から10は社会と連携した取り組みが期待される事項として区分されています。

この区分を知っておくと、配る相手が変わります。現場に配るのは1から7で、8から10は経営や広報の側で受ける項目です。ここを分けずに10項目まとめて現場へ渡すと、公正な競争の確保という項目の前で担当者が止まります。

そのうえで、言い換えの型を決めます。指針の言葉に対して、自社の成果物の名前、そこに入れている情報、確認している人の名前の3つを書き添えるだけです。この3つが埋まらない項目は、まだ自社の業務に落ちていないという意味なので、そこが手を付ける場所になります。共通の指針の前文には、憲法や知的財産に関する法令、個人情報保護法をはじめとする関連法令、そしてAIに関わる個別分野の既存の法令を遵守すべきと書かれているので、言い換えのときは既にある社内の決まりの名前も一緒に添えておきます。

言い換えの実例｜広告原稿と営業メールで書き換えてみる

抽象的な説明より、実物のほうが伝わります。マーケの部門で使う側にあたる場合の言い換えを、指針の項目ごとに書き出します。原典の第5部には、使う側にとって重要な事項が7つの見出しで整理されています。それを自社の言葉に移す作業です。

たとえば安全性の項目には、提供する側が定めた留意点を守り、想定された範囲内で使い、想定どおりに動作しているかを確認し、正確さと必要な場合の新しさが確保されたデータを入れる、という趣旨が書かれています。これを言い換えると、広告原稿の下書きに使う場合は、参照させる製品資料の版を最新のものに固定し、月に一度は差し替えを確認する担当を置く、という1行になります。

説明の責任の項目には、出力を特定の個人や集団への評価の参考にする場合は、AIを利用している旨を対象者に伝え、機械の判断に寄りかかる傾向も踏まえて人間の合理的な判断のもとで説明の責任を果たす、という趣旨が書かれています。営業の現場に移すと、見込み客の優先順位付けにAIの出力を使うなら、順位そのものを担当者の評価に直結させない、という一文になります。あわせて、関係者からの問い合わせに応じる窓口を合理的な範囲で置き、提供する側と連携して答える、という記述もあるので、窓口の名前も書き添えます。

工程3：既にある社内文書と対応づけ、空いた欄だけを埋める

ここが4工程の本体です。指針の項目を新しい文書に書き起こすのではなく、既にある社内文書のどこに書かれているかを突合します。突合の入口として使えるのは、別添の7番目に入っている確認一覧です。共通の指針を要約したもので、項目は9つに絞られています。本編の全項目ではなく、この9つから始めるのが最短です。

突合すると、多くの項目が既にどこかに書かれていることが分かります。セキュリティは情報セキュリティの規程、プライバシーは個人情報の取り扱い規程、教育は年間の教育計画、外部への委託は調達や委託の基準。すべてを一から書く必要はなく、既にある文書にAIの利用分を明示的に足すだけで済む項目が半分以上あります。

突合の記録は、1枚の対応表で足ります。左に指針の項目、中央に対応する社内文書の名前と条番号、右に空欄かどうか。空欄の行だけが、今回の作業対象です。この表を作らずに着手すると、既にある規程と重複する文書が増えて、現場はどちらを見ればよいのか分からなくなります。

• 対応表は指針の項目名で作る。社内の言葉で作ると、版が上がったときに突合できない
• 条番号まで書く。文書名だけだと、後任が該当箇所を探すのに時間がかかる
• 空欄でも、危害の小さい使い方なら軽い対応でよい。対策の程度は危険の大きさに合わせる考え方が原典に書かれている
• 別添の確認一覧には、書き込み用の表も付いている。空欄の検討にはそちらを使う
• 立場をまたいだ想定事例は最新版で更新されておらず、初版のものが掲載されている

空欄が出やすいのは3か所

実際に突合すると、空欄になる場所はかなり共通しています。多い順に3つ挙げます。既存の情報管理の規程が、AIに固有の場面を想定して書かれていないために生じるものです。

1つ目は、外から説明を求められたときの窓口です。誰が受け、どこまで答え、提供する側にどう問い合わせるかが決まっていない会社が多数です。2つ目は、出力を人の評価に使う場合の伝え方です。応募者の書類選考や取引先の評価に使う場面で、対象者に伝える手順が空欄になります。3つ目は、利用しているサービスの規約の遵守を誰がいつ確認するかです。規約は静かに改定されるので、確認の担当と頻度を書いておかないと、使い方が規約から外れたことに誰も気づきません。

この3つは、いずれも新しい規程を作らなくても埋まります。窓口は既にある問い合わせ窓口に業務を足す、評価に使う場合の伝え方は人事や調達の手順書に1行足す、規約の確認は情報システムの定期点検の項目に足す。足す先が決まれば、作業は1日で終わります。

工程4：更新に追従する仕組みを決める

この文書は、更新を前提に運用されています。実際の履歴を見ると、初版が2024年4月19日、次が2024年11月22日、その次が2025年3月28日、そして最新の第1.2版が2026年3月31日です。間隔は一定ではありません。年度末に合わせた更新が続いているものの、11月に上がった版もあるので、時期を決め打ちして待つのは避けたほうがよいです。

追従の作業を軽くするしかけが、公開資料の側に用意されています。前の版からの変更箇所を表示した見え消しの版と、その年度の更新内容をまとめた説明資料が、本編と同じ場所に置かれています。差分を読むのに本編を再読する必要はなく、見え消しの版と更新内容の資料だけで足ります。

決めるのは4つだけです。誰が見るか、いつ見るか、どの資料を見るか、見た結果を誰に渡すか。四半期に一度、掲載ページを開いて版数が変わっていないかを確かめる。変わっていたら更新内容の資料を読み、工程3で作った対応表の該当行だけを見直す。この運用なら、1回あたり30分で回ります。あわせて、活用の手引きの案と、内容を尋ねられる対話型の仕組みも2026年3月に公表されているので、社内からの質問対応にはそちらを案内すると窓口の負荷が下がります。

2026年3月の版で何が変わったか

更新内容の説明資料は2026年3月12日付で公開されていて、この年度の更新の論点が7つ整理されています。技術の動向の反映、危険の記載の見直し、立場の区分の整理、多義的に読める用語の整理、使いやすさの改善、管理の仕組みに関する国内外の動向の反映、そして脚注と参照先の更新です。

実務に効くのは1つ目と4つ目です。1つ目では、自律的に動くAIについての定義が加わりました。特定の目標を達成するために、環境を感知し自律的に行動するAIの仕組み、という定義です。物理的な環境に働きかけるAIについても定義が置かれました。あわせて、人間の判断を介在させる仕組みの構築、権限を必要最小限にとどめる設定、機器に残るデータへの配慮といった留意事項が追加されています。自律的に動く仕組みを使い始めた部門は、この追加分だけを読めば足ります。

4つ目の用語の整理も見落とせません。学習と推論、そしてデータという言葉の定義と表現が見直されています。社内文書でこれらの言葉を使っている場合、意味がずれていないかを確かめる価値があります。加えて、AIに関する法律や国際的な枠組みの動向を注視すべき最新の状況として追記した、という説明もあります。第1.2版の本編には、2025年に公布・全面施行された法律と、同年12月に決まった適正性に関する指針への参照が入っています。指針を読むだけでは足りず、参照先も見に行く必要が出てきたということです。

AIに決めさせない範囲を、工程の中に書き込む

4工程を回すときに、必ず入れておく項目があります。AIに判断させない範囲です。この文書は自主的な取り組みを促す性格のものなので、書かれていることを守れば安全になる、という読み方はできません。危険の大きさに応じて自社が決める、という設計になっているため、決めなければ何も決まらないままになります。

実務では、工程2の言い換えの中に3行足すのが確実です。1行目は、AIの出力をそのまま採用しない事項の一覧です。人の評価、価格、契約の可否、社外へ公表する数値。2行目は、出力に根拠を書かせ、根拠が空のものは採用しないという運用にすること。3行目は、確認する人の名前です。役職ではなく名前で書きます。

原典の側にも支えがあります。使う側に関する記述には、出力の精度と危険の程度を理解したうえで使う、想定された仕様どおりに動作しているかを確認する、機械の判断に寄りかかる傾向も踏まえて人間の合理的な判断のもとで説明の責任を果たす、といった趣旨が並んでいます。人が確認する前提で書かれている文書であって、任せきりを認める文書ではありません。

4工程は誰が回すのか｜分担の目安

最後に体制です。この作業を情報システムだけに任せると、成果物の名前が出てこないまま一般論の文書ができます。逆にマーケの部門だけで進めると、既にある規程との突合が抜けます。3者で分けるのが現実的です。

工程1の立場の判定は、事業を持っている部門が答えます。工程2の言い換えは、成果物を作っている現場が主で、ここが最も時間を使います。工程3の突合は、既存の規程を持っている法務や総務、情報システムと組んで行います。工程4の追従は、四半期の点検を持っている部署に足します。経営層の関与も原典に明記されていて、管理の仕組みの構築を短期の費用ではなく先行投資として捉えることが重要だと書かれています。

進め方の考え方も、原典が示しています。事前に手順を固定するのではなく、環境と危険の分析、目標の設定、仕組みの設計、運用、評価という流れを継続して速く回す、という考え方です。外部の環境が変わったら、また分析に戻ります。4工程は一度やって終わりではなく、この輪の中に置いて回すものだと考えてください。なお、目標の呼び方は各社に委ねられていると脚注に書かれているので、既にある方針の名前をそのまま使って構いません。

つまずき方を5つ

実際によく見かける止まり方を並べます。どれも作業量の見積もりを誤ったところから始まっています。

• 通読してから着手すると決める：本編は40ページを超える。読み終える計画は着手されないまま終わる
• 会社全体でどの立場かを1つに決めようとする：原典は複数を兼ねる場合を想定している。事業や部門の単位で判定する
• 指針の言葉のまま現場に配る：成果物の名前が出てこないので、現場は自分の仕事だと認識しない
• 新しい文書を作って完了とする：既存の規程と重複し、現場がどちらを見るか分からなくなる
• 10項目すべてを現場の担当に割り当てる：後半の3項目は社会と連携した取り組みが期待される事項で、受け手が違う
• 版が上がったら全部作り直すと決める：見え消しの版と更新内容の資料があるので、該当行だけを直せばよい

4つ目は特に多く、しかも一度作ってしまうと戻しにくいので注意してください。新しい文書を作る前に、この項目は既にどの規程のどこに書いてあるかを1行で言えるかを確かめるだけで避けられます。言えないものだけが、新しく書くべき項目です。

よくある質問

全部読まないと着手できませんか

いいえ。工程1で立場を判定すると、読む部は共通の指針と該当する部だけになります。さらに別添の7番目にある確認一覧は共通の指針を9項目に要約したもので、突合の入口としてはこれで足ります。初回は確認一覧と該当する部だけで着手できます。

社内に既にAIの利用ルールがあります。作り直しですか

作り直しではありません。工程3は突合の作業で、既にある文書のどこに書かれているかを対応表に埋めていくものです。ほとんどの項目は既存の情報管理や個人情報の規程に書かれているので、AIの利用分を明示的に足すだけで済みます。空欄になった数か所だけが今回の作業対象です。

自社は外部のサービスを使っているだけです。それでも対象ですか

対象です。使う側という区分が置かれていて、事業活動においてAIの仕組みやサービスを利用する事業者が当てはまります。加えて、自社のサービスに組み込んで顧客に出しているなら、その事業は提供する側にもあたります。使うだけだから関係ないという整理は、実務では成り立ちません。

版が上がるたびに社内文書を見直すのは負担が大きいのですが

差分だけを見れば軽くなります。前の版からの変更箇所を表示した見え消しの版と、その年度の更新内容をまとめた資料が公開されているので、本編を読み直す必要はありません。四半期に一度、掲載ページで版数を確認し、変わっていたら更新内容の資料を読んで対応表の該当行を直す、という運用で回ります。

子会社や小さな拠点にも同じ水準を求めるべきですか

同じ水準を求める必要はありません。対策の程度は危害の大きさとその起こりやすさに応じて決める、という考え方が示されています。顧客データを扱わず社内の文書作成だけに使っている拠点と、顧客向けの機能に組み込んでいる事業を同じ扱いにすると、前者では手続だけが増えて使われなくなります。立場の判定を拠点ごとに行い、そこから必要な範囲を決めてください。

まとめ

事業者向けのAIの指針は、読み終えることが目的の文書ではありません。最新の版は2026年3月31日に公表された第1.2版で、本編は40ページを超え、別添が9つ付きます。これを自社の運用に落とすには4つの工程で足ります。1つ目は立場の判定で、開発する側、組み込んで提供する側、使う側のどれにあたるかを事業や部門の単位で決めます。原典には同じ事業者が複数を兼ねる場合があると書かれているので、1つに絞る必要はありません。2つ目は言い換えで、共通の指針10項目のうち現場に配るのは前半の7つ、残りの3つは社会と連携した取り組みが期待される事項として経営や広報の側で受けます。言い換えるときは、自社の成果物の名前、入れている情報、確認する人の名前の3つを書き添えます。3つ目は突合で、別添の確認一覧にある9項目から始め、既にある情報管理や個人情報、委託の基準のどこに書かれているかを対応表に埋め、空欄だけを埋めます。空欄になりやすいのは、外部から説明を求められたときの窓口、出力を人の評価に使う場合の伝え方、そして規約の遵守を確認する担当の3か所です。4つ目は更新への追従で、版の間隔は一定ではないため、四半期に一度、見え消しの版と更新内容の資料で差分を確認します。2026年3月の版では、自律的に動くAIの定義や、人間の判断を介在させる仕組みと権限を最小限にする設定などの留意事項が加わりました。まずは自社の部門を3つ挙げて、それぞれがどの立場にあたるかを1行で書いてみてください。それが決まると、読む範囲は半分以下になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。